AWS AI Agent Vulnerabilities Let Attackers Bypass Authentication and Steal Credentials
2026/10/03 gbhackers — AWS が公表したのは、オープンソースの AI エージェント・オーケストレーション・プラットフォーム Loom／Amazon SageMaker Unified Studio に影響を及ぼす 4 件の脆弱性の情報とセキュリティ修正のリリースである。これらの脆弱性を悪用する攻撃者は、認証の回避／OAuth2 トークンの窃取／一時的なクラウド認証情報の窃取／内部サービスへのアクセスなどが可能となり、別のユーザーの SageMaker 環境での任意のコード実行に至る恐れがある。
AWS は、2026年10月2日のセキュリティ情報で、これらの問題を公表している。一連の脆弱性のうち 3 件は、AI エージェントのオーケストレーションを行う AWS Labs のオープンソース・プラットフォーム Loom for AWS に影響し、残る 1 件は SageMaker Unified Studio で使用される SageMaker Distribution の起動処理に影響する。
AWS の AI エージェント関連の脆弱性
AWS が Loom ユーザーに推奨しているのは、バージョン 1.7.0 へのアップグレードであり、SageMaker の顧客が修正済みイメージを適用するためには、影響を受ける Studio Spaces の再起動が必要だとしている。
Loom で最も深刻な脆弱性 CVE-2026-103956 は、バージョン 1.6.1 以下に影響する。この脆弱性は、Loom の認証に関する依存関係の問題に起因し、導入環境に ID プロバイダが設定されていない場合に、任意のネットワーク・クライアントから、エージェントのコントロール・プレーンに対する完全な管理権限が取得される可能性がある。
このアクセス権を取得した攻撃者は、悪意のあるツール・サーバの登録／保存されている連携用認証情報の取得／管理対象のエージェント・ロールに関連付けられた IAM ロールポリシーの変更などを引き起こす可能性がある。AWS は、この問題を重要な機能に対する認証の欠如 (CWE-306)／リソース権限の安全でないデフォルト初期化 (CWE-1188) に分類している。
2026年8月4日にリリースした Loom 1.6.1 で、AWS は CVE-2026-103956 を修正しているが、トークン漏えいや内部ネットワークへのアクセスに関する他の脆弱性も修正されているため、顧客に推奨されるのは Loom 1.7.0 へのアップグレードとなる。
2つ目の脆弱性 CVE-2026-103957 は、安全ではない OAuth2 ディスカバリ処理に関する欠陥であり、Loom のバージョン 1.7.0 以下に影響を及ぼす。mcp:write／a2a:write のいずれかのスコープを持つ認証済みユーザーは、悪意の well-known ディスカバリ URL を設定することで、 バックエンドから攻撃者が制御するエンドポイントへ向けて、OAuth2 クライアント・シークレットと別ユーザーのアクセス・トークンを、漏えいさせる可能性がある。
AWS は、1.6.1 において、この経路を悪用する内部アドレスへのアクセスを防止したが、トークンの漏えいを完全には防止できていなかったと述べており、この問題も 1.7.0 で完全に修正されている。
3つ目の脆弱性 CVE-2026-103958 は、サーバ・サイド・リクエスト・フォージェリ (SSRF) に類似する、外向きリクエストの処理に関する問題である。mcp:write／a2a:write 権限を持つユーザーは、Loom の Model Context Protocol ツール・サーバとAgent2Agent のリモート・エージェント処理を、任意の内部接続先へ接続し、その応答を返してしまう可能性がある。コンテナへ認証情報を提供するエンドポイントからデータが漏えいするため、攻撃者は一時的な AWS 認証情報を取得し、関連する IAM ロールからアクセス可能なクラウド・リソースを悪用する能性がある。
AWS は CVE-2026-104019 も修正した。この脆弱性は、SageMaker Space の起動スクリプトに存在する OS コマンド・インジェクションの欠陥であり、起動時の検証における SageMaker の接続情報の不十分なサニタイズに起因する。プロジェクト・メンバーは、悪意のある接続データを細工することで、別のメンバーの Space で任意のコードを実行できる。さらに、Trusted Identity Propagation が有効化されたプロジェクトでは、Contributor レベルのユーザーが他メンバーの一時的な実行ロールの認証情報を取得し、そのユーザーに代わって下流のサービスを呼び出す可能性がある。
すでに AWS は、SageMaker Distribution 2.14.12／3.9.12／4.0.11／4.1.11／4.2.8／4.3.5／4.4.3 をリリースし、この問題に対処している。4.5.x は影響を受けず、影響を受ける複数の旧ブランチはサポートが終了している。
緩和策
組織に求められるのは、Loom の導入環境または修正を加えたフォークを直ちに 1.7.0 へアップグレードすることである。アップグレード前の対策として、AWS が管理者に推奨しているのは、Loom をループバックの範囲を超えて公開する前に、Cognito ユーザー・プールまたは外部 ID プロバイダを設定し、本番環境での LOOM_ALLOW_UNAUTHENTICATED_LOCAL_DEV の無効化を確認することである。
修正後、組織に求められるのは、OAuth2 クライアント・シークレットのローテーションおよび、影響を受けた期間に有効だったトークンの失効と再発行、漏えいした可能性のある IAM セッション認証情報のローテーション、AWS CloudTrail ログにおける不審な活動の調査である。
SageMaker Unified Studio のユーザーに求められるのは、影響を受ける Studio Spaces を再起動し、グローバルに展開された修正済みイメージを反映することである。
Loom と Amazon SageMaker における複数の欠陥を解説する記事です。システムの初期設定の不備や検証処理の不十分さに伴い、外部の第三者による認証の無効化／機密情報の流出／不正なコマンドの実行といった深刻な影響が生じるおそれがあります。適切な対応策として、ソフトウェアの最新版への更新／運用環境の再起動／認証情報の更新が求められます。なお、本件に関連する脆弱性識別番号は CVE-2026-103956／CVE-2026-103957／CVE-2026-103958／CVE-2026-104019 です。設定の見直しや安全な運用管理手順の確認を早期に実施することが推奨されます。
You must be logged in to post a comment.